AFRINIC e a economia da reforma ICP-2

Resumo

• A reforma ICP-2 é geralmente apresentada como um saneamento da governança após a longa crise da AFRINIC.
• A cena mais reveladora da crise da AFRINIC não é uma sala de tribunal, uma reunião política ou uma declaração pública de um órgão de governança da internet.

O mercado oculto por trás de uma entrada de registro

A cena mais reveladora da crise da AFRINIC não é uma sala de tribunal, uma reunião política ou uma declaração pública de um órgão de governança da internet. É uma tabela financeira em algum lugar dentro de um operador de rede, um provedor de nuvem, uma empresa de hospedagem, um grupo de telecomunicações ou um detentor de endereços. De um lado da tabela estão os roteadores, clientes, compromissos de nível de serviço, escritórios de tratamento de abuso, trabalhos de geolocalização, listas de controle de acesso, contratos corporativos e o custo da renumeração. Do outro lado está uma linha em um banco de dados de registro.

Essa linha parece administrativa. Indica que uma organização está registrada para um determinado bloco IPv4 ou número de sistema autônomo. No entanto, o valor atribuído a essa linha não é administrativo. Ele vem do fato de que outras redes roteiam o prefixo, que as contrapartes considerarão o detentor como legítimo, que os compradores verão o registro como utilizável e que os clientes não serão forçados a sofrer a perturbação de uma renumeração. Uma entrada de registro não é a rede, mas em um mercado de endereços escassos, faz parte da estrutura de capital que permite que a rede funcione.

A escassez de endereços IPv4 tornou essa estrutura de capital visível. Em 2019, o KrebsOnSecurity relatou alegações sobre um espaço de endereçamento africano cujo valor de mercado foi estimado em mais de US$ 50 milhões, numa época em que endereços IPv4 individuais eram descritos como sendo vendidos por cerca de US$ 15 a US$ 25 no mercado livre. O preço exato de mercado varia com o tempo e de acordo com a qualidade do bloco, o histórico de roteamento, a transferibilidade e o contexto comercial. O ponto importante não é um preço à vista. É que um recurso de numeração antes considerado um identificador técnico tornou-se um item de balanço.

O registro não criou esse valor. Foram os operadores que o criaram ao construir serviços, clientes, reputação de roteamento e continuidade em torno do espaço de endereçamento. Mas o registro sempre esteve perto do ponto de reconhecimento.

Os documentos políticos da AFRINIC mostram os mecanismos formais. O registro distribui e registra recursos de numeração da internet em sua região de serviço. Endereços IPv4 públicos devem ser globalmente únicos. As alocações e atribuições devem ser registradas no banco de dados da AFRINIC, e recursos não registrados são considerados inválidos para fins políticos. O manual de políticas define registros locais da internet, espaço agregável por provedor, espaço independente de provedor, transferências dentro da região da AFRINIC, delegação reversa, registro de ASN e outros instrumentos da administração ordinária do registro.

No papel, são mecanismos para garantir unicidade, conservação, agregação e documentação. Na economia que se construiu sobre essa base, eles também afetam a liquidez, o risco operacional e a continuidade dos negócios.

É por isso que a reforma ICP-2 não pode ser avaliada apenas como um exercício constitucional de governança da internet. É um problema de design econômico. O reconhecimento determina se um registro é considerado um emissor confiável de status utilizável. O não reconhecimento determina se um registro com falhas pode ser substituído. Os padrões de falha determinam se o poder do registro pode ser disciplinado. A portabilidade determina se os membros podem sair antes que a falha se torne catastrófica. A custódia de dados determina se o livro-razão sobrevive ao titular. A revisão externa determina se um registro pode avaliar seu próprio desempenho.

Cada uma dessas ideias parece processual até que se pergunte quem arca com a perda quando o processo falha.

Durante anos, o sistema de RIRs pôde evitar essa questão porque a abundância atenuava os erros institucionais. Se os endereços fossem abundantes e as transferências marginais, a governança do registro poderia parecer um problema de clube. A escassez mudou isso. Um atraso no processamento de uma transferência pode afetar uma transação. Uma disputa sobre o status de registro pode afetar financiamento, locação, continuidade do serviço ao cliente e estratégia de litígio.

Um registro que não pode eleger um conselho, processar políticas, manter a confiança nas votações ou explicar seus próprios registros torna-se mais do que uma organização sem fins lucrativos problemática. Torna-se um fator de risco em um mercado de capitais que ainda se recusa a descrever como tal.

O reconhecimento é o preço pelo qual essa recusa se torna impossível. Se o reconhecimento global simplesmente diz que o registro atual permanece legítimo até que outros titulares decidam o contrário, o reconhecimento protege o titular. Se o reconhecimento diz, em vez disso, que o trabalho do registro é manter um livro-razão verificável, fornecer serviço neutro, cumprir padrões objetivos de continuidade e permanecer auditável externamente, o reconhecimento disciplina o titular. A diferença não é semântica. Ela determina se a reforma ICP-2 reduz o poder do registro ou o constitucionaliza.

AFRINIC transforma a questão da teoria em realidade. É o registro africano. Continuou a fornecer serviços durante períodos de ruptura de governança. Também operou através de litígios, recepção judicial, falhas eleitorais, alegações de documentos de votação irregulares, conflitos sobre a legitimidade do conselho e afirmações periódicas de que estava se recuperando. Neste contexto, a questão econômica não é se a estabilidade é desejável. Todos querem estabilidade. A questão é estabilidade para quem e sob qual estrutura de incentivos: estabilidade do livro-razão e dos usuários, ou estabilidade do titular.

Essa distinção deve orientar todo o debate sobre ICP-2.

Por que a AFRINIC torna o reconhecimento concreto

A AFRINIC é importante porque quebra a abstração confortável de que as normas de reconhecimento dizem respeito apenas a futuros candidatos a novos registros. A lógica original da ICP-2 pertencia a um mundo onde a questão principal era como um registro regional da internet poderia ser estabelecido. O novo problema é diferente: o que acontece quando um registro existente se torna disfuncional depois que o mundo já construiu uma dependência operacional em torno dele?

O registro público é excepcionalmente claro. A AFRINIC é um dos cinco registros regionais da internet e atende a África e partes do Oceano Índico. O manual de políticas da AFRINIC afirma que sua região de serviço abrange o continente africano, bem como Seychelles, Maurício, Madagascar, Comores e Reunião. O registro se encaixa na hierarquia ordinária de distribuição de recursos de numeração: a IANA aloca blocos para o RIR, e o RIR os redistribui para seus membros e delega autoridade para atribuições e subalocações quando a política permite. Este não é um papel decorativo.

É a interface reconhecida pela qual uma vasta região recebe e registra recursos de numeração da internet.

A dificuldade é que a vida institucional da AFRINIC não permaneceu normal. O Internet Governance Project descreveu a AFRINIC como tendo entrado em recepção judicial em 2023, depois que a divisão de falências da Suprema Corte de Maurício nomeou um recebedor. A declaração da Number Resource Organization saudou essa nomeação como uma forma de restaurar a governança funcional através de um conselho e CEO, observando que o recebedor deveria manter o status quo dos ativos da AFRINIC, preservar o valor da empresa, supervisionar as eleições e acelerar a constituição do conselho.

A declaração apresentou esse desenvolvimento como positivo porque os membros continuariam a receber os serviços do registro. Esse enquadramento oficial é uma prova útil, mas não porque deve ser aceito cegamente. Mostra o que o sistema valoriza quando um registro falha: continuidade do serviço, manutenção do status quo, restauração do conselho e retorno à participação ordinária do RIR. Esses objetivos são razoáveis. Eles também revelam o instinto do sistema de preservar o invólucro institucional. Um invólucro pode ser operacionalmente útil e estruturalmente perigoso ao mesmo tempo.

Se as normas de reconhecimento são construídas apenas para restaurar o invólucro, elas podem deixar os incentivos subjacentes intactos.

A sequência eleitoral de 2025 agravou o problema. O Internet Governance Project escreveu que a AFRINIC operava sem conselho desde 2022 e que uma eleição estava em andamento em junho de 2025. A ICANN contestou alguns aspectos do processo de nomeação e pediu a recomposição imediata do comitê de nomeações. A Suprema Corte de Maurício rejeitou as contestações, considerou que a ICANN não tinha legitimidade para agir e permitiu que o processo eleitoral prosseguisse, exigindo esclarecimentos de que o registro da Cloud Innovation como membro nos registros da empresa estava errado e era atribuível ao registrador, não à AFRINIC ou ao recebedor.

The Register também relatou que o tribunal não reexaminou a composição do comitê de nomeações, que a votação eletrônica continuava e que a ICANN permanecia preocupada com a integridade das eleições. Em poucos dias, a situação piorou ainda mais. The Register relatou que a eleição foi suspensa e depois cancelada devido a preocupações com procurações e documentos de votação. A ICANN alertou que poderia iniciar uma revisão de conformidade e, se a AFRINIC falhasse, pedir a outro RIR que servisse como registro de emergência para a África.

Outros relatos em julho de 2025 mencionaram o silêncio persistente do recebedor, alegações de procurações fraudulentas, o pedido da ICANN por relatórios transparentes e o apelo da Cloud Innovation pela dissolução da AFRINIC e transferência de suas responsabilidades para um quadro mais confiável. Estas são alegações contestadas que não devem ser consideradas conclusões definitivas sobre cada entidade.

Para a economia da ICP-2, o ponto decisivo é mais restrito: um registro titular pode entrar em um estado onde seu invólucro legal, a legitimidade de seus membros, seu mecanismo de votação, suas relações com supervisores externos e suas garantias de continuidade de serviço se tornam todos economicamente relevantes ao mesmo tempo.

No início de 2026, o tom havia mudado novamente. The Register relatou no APRICOT que a AFRINIC estava "de volta aos trilhos", com melhora no moral da equipe, conselho em ação, cargos de gestão interina nomeados, orçamento e plano de ação em desenvolvimento, e uma estratégia formal 2027-2030 em preparação. Também relatou que a AFRINIC ainda tinha 773.376 endereços IPv4 não alocados.

O mesmo artigo afirmou que a comunidade de RIRs revisou a ICP-2 porque a política descrevia como criar um RIR, mas não previa disfunção, e que a política revisada deveria definir um ciclo de vida completo para RIRs, assistência a crises e disposições para não reconhecimento. Esta é a importância econômica da AFRINIC. Um registro pode estar simultaneamente em recuperação, frágil, necessário, contestado e poderoso. Pode ter equipe que mantém os serviços funcionando enquanto a legitimidade da governança é contestada. Pode ter um inventário IPv4 não alocado enquanto os membros se perguntam se a instituição pode administrar eleições.

Pode ser defendido como um exemplo de resiliência da governança privada enquanto mostra por que a governança privada precisa de padrões externos de falha. Pode ser retratado por órgãos oficiais como um problema de continuidade, por críticos como um problema de mandato, por membros como um problema de votação, por litigantes como um problema jurídico e por operadores como um problema de continuidade de negócios.

A reforma ICP-2 deve sobreviver a todas essas descrições. Se escolher uma narrativa institucional e construir o reconhecimento em torno dela, falhará. Um padrão de reconhecimento sério não pode perguntar se a narrativa do titular é reconfortante. Deve perguntar se o registro é objetivamente capaz de manter o livro-razão, fornecer serviço neutro, respeitar a mobilidade dos membros, divulgar riscos materiais, reter dados utilizáveis, operar mecanismos de governança legítimos e ser substituído sem prejudicar a continuidade operacional se não puder. A AFRINIC não é, portanto, simplesmente uma crise africana.

É um evento de descoberta de preços para todo o sistema de reconhecimento. Revela o que o modelo de RIR não havia precificado: o custo de não ter um padrão de falha crível, externo, verificável e ascendente quando um registro se torna grande demais para ser ignorado e problemático demais para ser confiado sem verificação.

O reconhecimento como poder de mercado

Para entender a reforma ICP-2, vamos começar com uma pergunta simples de economia institucional: o que o reconhecimento produz? A resposta oficial é coordenação. O reconhecimento diz à internet qual registro atende qual região e, portanto, de onde devem vir os registros de recursos de numeração. Preserva a unicidade e evita reivindicações duplicadas. Esta resposta é verdadeira, mas incompleta.

O reconhecimento também produz valor de garantia. Um bloco de endereços IPv4 tem mais valor quando o mercado acredita que o status de registro é estável, transferível, roteável e improvável de ser atacado pelo registro reconhecido. Uma rede é menos arriscada quando seus ativos de endereço não estão presos em uma instituição que não pode se autogovernar. Um comprador de transferência avaliará a incerteza. Um credor avaliará a incerteza. Um cliente de locação avaliará a incerteza. Uma plataforma de nuvem que depende da continuidade de endereços avaliará a incerteza.

O reconhecimento não é o mesmo que propriedade, mas afeta a crença do mercado de que o uso reivindicado de um recurso escasso será respeitado por outros.

É por isso que a linguagem da mera administração se tornou enganosa. O manual de políticas da AFRINIC descreve os objetivos habituais de um registro: unicidade, registro, agregação, conservação, documentação e justiça. Esses objetivos permanecem tecnicamente importantes. Mas a escassez e a transferibilidade transformaram o desempenho do registro em um insumo econômico. O banco de dados do registro não é simplesmente uma lista; é um ativo de coordenação. A política de transferência não se limita a organizar registros; ela regula a liquidez.

A exigência do manual de políticas de que um beneficiário de transferência deve justificar necessidade, ser membro da AFRINIC e assinar o acordo de serviços de registro não é mera burocracia; determina quem pode adquirir recursos escassos e em que termos. O DNS reverso, o RPKI, o WHOIS e os registros de ASN não são meros serviços acessórios; eles ajudam a determinar se as redes podem operar de forma suave e crível. Economistas descreveriam isso como uma camada institucional com efeitos de criação de mercado.

Ela não cria a escassez subjacente; o espaço fixo de 32 bits do IPv4 e décadas de alocação fizeram isso. Ela não cria todo o valor; os operadores fazem isso ao implantar os recursos produtivamente. Mas ela pode criar ou destruir a confiança em reivindicações, transferências e continuidade. Isso dá ao registro uma alavancagem sobre ativos cujo valor excede em muito o balanço do registro.

Uma vez que o reconhecimento tem efeitos de criação de mercado, os padrões de falha se tornam economicamente importantes. Um padrão de falha fraco deixa os membros presos a um registro mesmo quando ele não atende mais às condições mínimas de administração confiável. Um padrão de falha vago dá a órgãos externos o poder discricionário de ameaçar ou disciplinar registros sem limites previsíveis. Um padrão de falha controlado pelos registros titulares pode se tornar uma proteção de cartel.

Um padrão de falha controlado pela ICANN ou outro órgão global sem restrição ascendente pode transformar uma reforma concebida para responsabilização em um instrumento de centralização. O desafio de design é criar disciplina sem criar um novo monopólio da disciplina.

Este é o problema de tratar a "estabilidade" como conclusão em vez de afirmação que requer evidências. Os titulares sempre dizem que estabilidade significa proteger o titular. Os mercados sabem melhor. Às vezes, estabilidade significa proteger a câmara de compensação. Às vezes, significa transferir a atividade de uma câmara de compensação com falhas antes que ela prejudique o mercado. Às vezes, significa deixar a marca intacta. Às vezes, significa preservar os registros enquanto substitui o operador. O mesmo vale para um registro.

A coisa estável não é necessariamente o conselho, a hierarquia de equipe, o invólucro corporativo, o escritório, o logotipo ou a reivindicação histórica de representação regional. A coisa estável é o livro-razão dos registros legítimos de recursos de numeração e a capacidade das redes de continuar usando, roteando, transferindo e documentando recursos sem interrupção arbitrária.

Esta distinção é fácil de afirmar e difícil de implementar. Se o reconhecimento segue apenas a antiguidade histórica, um registro com falha pode usar a linguagem da continuidade como escudo. Se o reconhecimento segue apenas a insatisfação externa, um órgão externo poderoso pode usar a linguagem da falha como arma. Se o reconhecimento segue fatos técnicos e administrativos verificáveis, a reforma começa a se parecer com um regime de credenciamento crível. Credenciamento não significa confiança cega no credenciador.

Significa um padrão delimitado, evidências públicas, testes reproduzíveis, recursos definidos e revisão por partes que não buscam herdar o poder que julgam.

Em mercados normais, intermediários ruins são disciplinados pela saída. Clientes trocam de banco, bolsa, provedor de nuvem, auditor, corretor ou seguradora, embora a troca possa ser cara. No sistema de RIR, a saída é estruturalmente fraca. Uma rede está normalmente vinculada ao registro que atende sua região. A política de transferência da AFRINIC é intrarregional; a portabilidade entre RIRs não é uma válvula de escape incondicional. A dependência do registro não é, portanto, uma relação normal com um fornecedor. É um regime de aprisionamento justificado pela unicidade e coordenação histórica.

O aprisionamento pode ser eficiente quando a instituição que aprisiona é restrita, confiável e disciplinada externamente. Torna-se perigoso quando a instituição é ampla, discricionária e imune à saída. A reforma ICP-2 é o momento de decidir que modelo o sistema de RIR quer ser. Se as normas de reconhecimento apenas dão ao clube de registros titulares mais ferramentas para se proteger, a reforma intensificará o aprisionamento.

Se elas tornam o reconhecimento condicional a desempenho mensurável, consentimento dos membros, responsabilidade externa e direitos de transição focados na continuidade, o reconhecimento pode se tornar o substituto para a disciplina de mercado que atualmente falta ao sistema.

O caso da AFRINIC mostra por que o substituto é necessário. O sistema não pode confiar em linguagem moral de boa gestão quando os ativos se tornaram economicamente significativos. Não pode confiar em correção informal da comunidade quando as próprias eleições se tornam contestadas. Não pode confiar apenas nos tribunais, pois os tribunais podem preservar direitos legais, mas não são projetados para operar um registro global. Não pode confiar apenas na ICANN ou na NRO, pois seus incentivos podem favorecer a preservação do modelo atual.

Ele precisa de normas de reconhecimento suficientemente estreitas para prevenir a centralização e suficientemente fortes para prevenir que a falha seja normalizada. Este é o mercado de capitais oculto dentro da ICP-2. A reforma decidirá como o risco do registro é avaliado, quem pode forçar a divulgação, quando a saída se torna crível e se o valor econômico criado pelos operadores permanece refém de um sistema de reconhecimento que ainda fala como se estivesse apenas realizando coordenação administrativa.

O que um padrão de falha deve medir

Um padrão de falha não deve começar com punição. Deve começar com medição. O primeiro erro em muitas crises institucionais é perguntar quem é bom, quem é mau, quem pertence a qual facção e qual narrativa deve ser confirmada. Isso é política. As normas de reconhecimento precisam de um vocabulário mais frio.

A questão relevante é se o registro está cumprindo as funções que justificam o reconhecimento. Essas funções podem ser medidas sem resolver cada conflito político dentro da região. O livro-razão deve ser preciso, acessível, verificável e protegido contra modificações não autorizadas. Os serviços básicos de registro devem estar disponíveis. Os dados WHOIS ou RDAP, os processos de DNS reverso, os serviços RPKI, os registros de ASN, os registros de transferência e os registros de status de membros devem ser mantidos sob controles documentados.

As políticas devem ser adotadas e implementadas por um processo que as partes afetadas possam entender e contestar. Os mecanismos de governança devem ser capazes de produzir administradores legítimos e gestão responsável. Conflitos de interesse devem ser divulgados e gerenciados. A situação financeira deve ser suficiente para operar sem que a continuidade do serviço seja refém de litígios, captura faccional ou captação emergencial de recursos. Disputas materiais não devem ser encobertas por linguagem de relações públicas.

Nenhum desses testes exige que um órgão global se torne um superconselho. Eles exigem evidências. O registro pode mostrar instantâneos carimbados e assinados de seus dados de registro? Pode mostrar auditorias de segurança independentes? Pode mostrar que os registros de membros correspondem à realidade jurídica e operacional? Pode mostrar que as solicitações de transferência são processadas com critérios estáveis? Pode mostrar disponibilidade de serviço? Pode mostrar que as operações de RPKI e DNS reverso são separáveis do faccionalismo do conselho?

Pode mostrar que as eleições são conduzidas com regras que previnem fraude por procuração, agregação não divulgada de votos e cancelamento arbitrário? Pode mostrar que a equipe tem independência operacional de facções que buscam controlar a política de recursos? Pode mostrar que responsabilidade, seguro e reservas têm relação racional com danos previsíveis?

A AFRINIC ilustra por que essas perguntas são importantes. O manual de políticas diz que os dados de registro devem estar corretos em todos os momentos, pois suportam operações de rede. Diz que a documentação deve ser realista e justificável. Diz que políticas e práticas devem ser aplicadas de forma justa e equitativa, independentemente de localização, nacionalidade, tamanho ou outros fatores. Estas não são apenas frases nobres. São as afirmações mensuráveis que justificam o reconhecimento.

Um registro que não pode manter seus dados de registro confiáveis, tratar membros em situações semelhantes de forma justa ou administrar processos documentados de forma consistente não tem apenas um desacordo de governança. Ele está erodindo a base econômica do reconhecimento.

O histórico de alegações de uso indevido de endereços na África também apoia uma abordagem baseada em medição. A reportagem do KrebsOnSecurity sobre o suposto roubo de endereços IP africanos de US$ 50 milhões descreveu acusações de que um coordenador de políticas da AFRINIC teria secretamente operado empresas ligadas à venda de blocos de endereços e que os registros oficiais teriam sido alterados em relação ao espaço de endereçamento africano herdado. O então novo CEO da AFRINIC disse que a organização estava investigando. O objetivo para a ICP-2 não é rejulgar cada alegação histórica.

É que a falha do registro pode envolver integridade de dados, conflitos internos, exploração de recursos dormentes e manipulação de registros, e não apenas eleições do conselho. Uma norma de reconhecimento que busca apenas paralisia formal de governança perderá as formas econômicas de falha que mais importam.

A norma deve distinguir quatro tipos de falha. Falha operacional ocorre quando o registro não pode fornecer os serviços mínimos de forma confiável. Falha do livro-razão ocorre quando os registros do registro não podem ser considerados precisos, autorizados, completos ou recuperáveis. Falha de governança ocorre quando a instituição não pode produzir autoridade legítima, gerenciar conflitos ou executar processos responsáveis. Falha de continuidade de mercado ocorre quando os membros não podem confiar no registro, transferência, serviços de suporte ao roteamento e processos de resolução de disputas o suficiente para planejar seus negócios.

Essas falhas podem se sobrepor, mas não são idênticas. Um registro pode manter os servidores funcionando enquanto a governança colapsa. Pode ter um conselho enquanto a integridade dos dados está comprometida. Pode processar tickets enquanto a confiança nas transferências evapora. As normas de reconhecimento devem ver todas as quatro.

Os limiares são tão importantes quanto as categorias. Nem todo erro é uma falha. Um registro deve poder corrigir erros, sofrer litígios, trocar de pessoal, adiar reuniões ou perder um processo sem enfrentar o não reconhecimento. Se o limiar for muito baixo, o reconhecimento se torna uma arma. Se for muito alto, a falha se torna permanente. O limiar deve depender de persistência, materialidade, não remediação e ameaça à continuidade. Um prazo perdido não basta. Um padrão de prazos perdidos inexplicados que afetam direitos de membros pode bastar. Um único documento eleitoral contestado não basta.

Um sistema de votação incapaz de verificar autoridade, detectar documentos falsificados, explicar cancelamento e realizar uma eleição legítima pode bastar. Um litígio judicial não basta. Um estado jurídico que impede a governança ordinária por anos e deixa os membros sem conselho responsável pode bastar.

Credenciamento sem credenciador irresponsável

As normas de reconhecimento precisam de um credenciador, mas o credenciador não deve se tornar o novo problema. Este é o paradoxo no centro da reforma ICP-2. Um registro com falha não pode ser deixado para se auto certificar. No entanto, um órgão global que pode declarar falha, nomear substitutos, bloquear novos entrantes e definir governança aceitável sem restrição efetiva pode se tornar mais perigoso do que o registro que disciplina.

O perigo não é imaginário. As notas publicadas por Lu Heng sobre a ICP-2 sustentam que qualquer mecanismo de descredenciamento ou recredenciamento de um RIR deve permanecer conduzido pelos membros, em vez da NRO ou ICANN. O ponto subjacente é institucional, não pessoal. O sistema de RIR existe por consenso voluntário, em vez de coerção soberana ordinária. Não tem exército, base tributária ou jurisdição baseada em tratados. Sua autoridade sobrevive porque operadores, estados, software, filtros de roteamento, contratos e contrapartes aceitam a estrutura de coordenação como útil.

Se a camada de reconhecimento começar a se parecer com comando de cima para baixo, as entidades não necessariamente obedecerão. Podem contorná-la, contestá-la judicialmente, bifurcar práticas operacionais ou retirar seu consentimento.

Isso importa porque o credenciamento pode ser abusado em duas direções. Em um sentido, um registro captura o processo e usa o reconhecimento como imunidade contra membros, tribunais e disciplina de mercado. No outro, órgãos externos capturam o processo e usam o reconhecimento para impor seus resultados de governança preferidos. Ambos são falhas. O primeiro protege a antiguidade local. O segundo centraliza o poder global. Uma ICP-2 crível deve evitar ambos.

O design institucional deve separar a coleta de evidências, a determinação de falha, a supervisão de medidas corretivas e a seleção do sucessor. O mesmo órgão não deve definir as evidências, processar a falha, escolher o remédio, herdar a autoridade e então declarar o sistema estável. É assim que a linguagem da responsabilização se torna expansão de mandato. Quanto mais o IPv4 se torna economicamente importante, maior a tentação de transformar normas de reconhecimento em controle sobre transferibilidade, status de membros e política regional.

A reforma deve ser projetada contra essa tentação, e não com suposições idealizadas sobre virtude institucional.

Um modelo útil não é um ministério, mas um mercado de credenciamento restrito. As normas são públicas. Os testes são reproduzíveis. Os auditores são independentes. Os membros afetados podem desencadear uma revisão sob condições objetivas. O registro tem o direito de responder. Os remédios são escalonados. A substituição é o último recurso sob regras de continuidade predefinidas. O trabalho do credenciador não é decidir a política da região. É determinar se o registro reconhecido continua a atender às condições mínimas para a função estreita de coordenação que o reconhecimento confere.

A iniciação pelos membros é crucial. Se apenas a ICANN, a NRO ou os RIRs titulares podem desencadear uma revisão séria, os membros permanecem dependentes da classe institucional cujos incentivos podem ser evitar precedentes. Se qualquer membro pode desencadear uma revisão completa a pedido, o sistema se torna ingerenciável.

O meio-termo é um limiar estruturado: uma parcela definida de membros, detentores de recursos, operadores afetados ou usuários de serviços objetivamente afetados deve poder impor uma revisão preliminar; um limiar mais alto deve ser exigido para passar a procedimentos formais de não conformidade; uma revisão de emergência deve estar disponível para falhas do livro-razão ou de segurança que ameacem o serviço. Os detalhes podem ser debatidos. O princípio é claro. A revisão deve ser acessível de baixo e limitada de cima.

O credenciador também precisa de restrições econômicas. Não deve ser autorizado a exigir resultados políticos não relacionados à aptidão mínima do registro. Não deve usar a revisão de conformidade para resolver disputas ordinárias sobre locação de endereços, uso fora da região, liberalização de transferências, filosofia de preços ou estratégia de desenvolvimento regional, a menos que essas disputas afetem os critérios objetivos de reconhecimento. Caso contrário, o credenciamento se torna um caminho pelo qual instituições globais transformam preferências políticas em condições de reconhecimento.

A norma deve ser deliberadamente enfadonha: integridade do livro-razão, continuidade do serviço, viabilidade financeira, administração neutra, capacidade de governança, custódia de dados, controles de conflitos, direitos dos membros, garantias de portabilidade e remediação transparente.

A lição não é que a ICANN nunca deve agir, nem que os titulares devem ser deixados sozinhos. A lição é que as normas de reconhecimento devem tornar a ação menos dependente de improvisação institucional. Se as regras são objetivas, baseadas em evidências, acionáveis por membros, verificáveis externamente e limitadas à aptidão do registro, a intervenção parece menos com poder e mais com disciplina. Se as regras são vagas, discricionárias e controladas pelas mesmas instituições cujo poder estendem, a intervenção parece com gestão de cartel.

Saída, portabilidade e o preço do aprisionamento

A forma mais poderosa de responsabilização em um mercado não é a reclamação. É a saída. Um fornecedor que sabe que os clientes podem sair se comporta de maneira diferente de um fornecedor que sabe que os clientes estão cativos. O sistema de RIR sempre foi fraco em saída porque a unicidade regional foi construída em torno de territórios de serviço exclusivos. Essa fraqueza era tolerável quando os recursos de numeração eram abundantes e o poder discricionário do registro era baixo. É perigosa quando os recursos são escassos e o poder discricionário do registro afeta a continuidade.

A portabilidade não é, portanto, um acréscimo ideológico à ICP-2. É a válvula de escape econômica sem a qual as normas de reconhecimento serão sobrecarregadas. Se cada falha grave exige não reconhecimento global, o sistema tem apenas uma opção nuclear. Como a opção nuclear é assustadora, ela será adiada. Como é adiada, os membros permanecem presos. Como os membros estão presos, os incentivos do registro se deterioram. Um direito de saída crível reduz a necessidade de recorrer ao não reconhecimento ao disciplinar o registro mais cedo.

A nota de Lu Heng sobre portabilidade expõe o caso diretamente: as redes devem ter um direito incondicional de mover endereços IP ou números AS de um RIR para outro, para que um registro de baixo desempenho não possa tomar os membros como reféns. Não é necessário aceitar cada detalhe dessa proposta para ver sua lógica econômica. A portabilidade reduz os custos de mudança. Custos de mudança mais baixos criam disciplina de desempenho. Disciplina de desempenho reduz a necessidade de intervenção global de emergência.

A intervenção de emergência, quando ainda necessária, torna-se mais crível porque o sistema já reconheceu que o livro-razão e a continuidade dos usuários importam mais do que a exclusividade territorial do registro titular.

Os mecanismos atuais da AFRINIC mostram a lacuna. Seu manual de políticas contém uma política para transferências IPv4 dentro da região da AFRINIC. A fonte da transferência deve ser uma conta de membro existente da AFRINIC ou um detentor de recursos herdados na região. A fonte deve ser o detentor dos direitos reconhecido pela AFRINIC e não estar envolvida em litígio sobre os recursos. O beneficiário deve justificar necessidade, ser membro da AFRINIC e assinar o acordo de serviços de registro. Esses mecanismos fazem sentido como administração intrarregional. Eles não resolvem o problema da falha.

Se o próprio registro se torna a fonte do risco, forçar o membro a permanecer no mesmo registro e sujeito ao mesmo acordo não é saída. É uma mudança de assento dentro do mesmo teatro.

Existem objeções reais. A portabilidade incondicional poderia criar escolha de foro, cargas políticas desiguais, confusão de dados de roteamento, arbitragem regulatória ou pressão sobre registros melhor gerenciados. Poderia prejudicar objetivos de desenvolvimento regional se regiões mais pobres perderem os relacionamentos com detentores de recursos para registros mais capitalizados. Poderia ser explorada por grandes detentores em busca do regime de conformidade mais leve. Essas preocupações são importantes. São argumentos para projetar a portabilidade com cuidado, e não para rejeitá-la categoricamente.

Um regime de portabilidade razoável distinguiria a portabilidade ordinária da portabilidade em caso de falha. A portabilidade ordinária poderia ser limitada, gradual ou condicionada a requisitos de dados harmonizados. A portabilidade em caso de falha deveria ser mais forte.

Se um registro entra em não conformidade formal, perde sua capacidade mínima de serviço, não pode manter registros confiáveis ou permanece sob paralisia de governança não resolvida além de um limiar definido, os membros devem ter um caminho reconhecido para transferir o serviço administrativo para outro registro qualificado ou operador interino sem perder a continuidade dos recursos. O membro que se muda não adquiriria novo espaço de endereçamento nem escaparia das regras de unicidade aplicáveis globalmente. Mudaria o relacionamento administrativo para longe da instituição com falha.

O design também deve proteger o registro de acolhimento. Um caminho de portabilidade em caso de falha não pode simplesmente despejar litígios não resolvidos, registros errôneos ou conflitos políticos em outra instituição. Deve transportar o histórico de registros, indicadores de litígio, documentos de autoridade, status de transferências e trilha de auditoria. Deve preservar o fato de que um bloco pode estar contestado. Deve manter o DNS reverso e os serviços de suporte ao roteamento quando a continuidade exigir, enquanto impede que a mudança se torne um evento de branqueamento. A saída é valiosa porque disciplina o titular.

Não deve se tornar um método para apagar obrigações.

Disciplina sem destruir a continuidade

O argumento mais forte a favor da prudência na reforma ICP-2 é também o argumento mais forte a favor da reforma. Os registros têm responsabilidades operacionais reais. Quebrá-los negligentemente danificaria redes que não tiveram nenhum papel na falha de governança. Mas usar a continuidade como razão para proteger os titulares indefinidamente comete o erro inverso. Confunde continuidade do livro-razão com continuidade do guardião.

O livro-razão é o ativo principal. Ele registra quem está associado a quais recursos de numeração, quais contatos são responsáveis, quais delegações reversas existem, quais autorizações de origem de rota são suportadas, qual histórico de transferência importa e quais documentos de autoridade de membros são relevantes. O livro-razão não é simplesmente um banco de dados no sentido técnico estrito. É o substrato factual compartilhado do qual dependem roteamento, solução de problemas, gestão de abusos, contratos e transferências. Continuidade significa proteger este substrato e os serviços que o tornam utilizável.

Um titular no cargo é diferente. Um conselho, CEO, recebedor, comitê, hierarquia de equipe ou invólucro corporativo pode ser útil se proteger o livro-razão. Não deve ser tratado como idêntico ao livro-razão. Uma norma de reconhecimento que não consegue separar os dois será sempre tendenciosa em favor da antiguidade. Sempre que um registro falha, os defensores dirão que tocar no titular coloca em risco a continuidade. Às vezes, isso será verdade. Às vezes, é o titular que coloca em risco a continuidade. A norma deve ser capaz de fazer a diferença.

A recepção judicial da AFRINIC mostra a tensão. A declaração da NRO em 2023 saudou o recebedor como um meio de preservar ativos, manter o status quo, supervisionar eleições e manter o fluxo de serviços. O Internet Governance Project apresentou a recepção como evidência da resiliência da governança privada da internet, com o estado de direito e a aplicação governamental atuando como freios que preservam a estabilidade organizacional. Esta interpretação contém uma verdade importante: tribunais e recebedores podem evitar que um conflito de governança destrua os serviços do registro.

Também contém um viés institucional: trata a restauração do registro existente como o ponto final natural. A ICP-2 deveria ser mais precisa. A recepção judicial é um instrumento de continuidade, e não a prova de que o modelo atual é economicamente sólido.

Disciplina sem destruição requer uma escala de recursos. O primeiro degrau é a divulgação: relatório público de métricas de serviço, status eleitoral, situação financeira, restrições legais e riscos materiais. O segundo é a auditoria independente: exame técnico, financeiro, de governança e de integridade de dados por partes qualificadas. O terceiro é a remediação: um plano com prazo determinado, marcos mensuráveis e supervisão dos membros. O quarto é a assistência supervisionada: outros registros ou operadores técnicos neutros fornecendo suporte definido sem adquirir controle de políticas.

O quinto é a transferência limitada de funções: ativação de custódia, operação de serviço de emergência ou portabilidade para membros afetados. O último degrau é a substituição ou não reconhecimento.

A escala é importante porque torna a substituição crível sem torná-la ocasional. Um registro não deve ser não reconhecido porque é impopular, litigioso ou politicamente inconveniente. Deve enfrentar a substituição apenas quando as falhas objetivas persistem, a remediação falha, a continuidade está em perigo e um sucessor ou arranjo interino pode proteger melhor o livro-razão do que o titular. Inversamente, um registro não deve evitar a substituição simplesmente invocando a estabilidade enquanto recusa auditoria, divulgação ou controle dos membros.

A custódia de dados é o fundamento prático. Sem custódia, cada crise se torna uma situação de refém. O titular controla os dados necessários para substituí-lo, então a substituição parece arriscada demais. Com custódia regular, assinada e verificável de forma independente, o livro-razão pode sobreviver à falha institucional.

A custódia deve incluir não apenas os registros brutos de alocação, mas também o histórico de transferências, registros de autoridade de membros, indicadores de litígio, delegações de DNS reverso, documentos RPKI quando possível, logs de auditoria e a documentação necessária para distinguir registros liquidados de registros contestados. O objetivo não é publicar dados sensíveis. É garantir que um operador de emergência autorizado possa preservar a continuidade sem adivinhar.

O princípio da continuidade primeiro tem, portanto, um fio de navalha. Protege o registro quando ataques ao registro prejudicariam o livro-razão. Disciplina ou substitui o registro quando o registro prejudica o livro-razão. Recusa-se a assimilar um invólucro corporativo à necessidade pública que ele serve. Este é o equilíbrio que a ICP-2 deve encontrar se quiser credibilidade econômica.

A substituição como opção crível, mas limitada

Todo regime de credenciamento precisa de uma sanção terminal. Se a instituição reconhecida não pode perder seu reconhecimento independentemente do que faça, a norma é teatro. Se pode perder o reconhecimento com demasiada facilidade, a norma se torna uma arma. A substituição deve, portanto, ser ao mesmo tempo crível e limitada.

A credibilidade é a parte mais difícil no mundo dos RIRs porque a antiguidade foi tratada como quase natural. Existem cinco RIRs. Eles têm regiões de serviço. Coordenam-se através da NRO e interagem com a ICANN. Sua existência tem sido estável o suficiente para que os operadores construam em torno deles. Essa estabilidade é valiosa. É também a fonte do risco moral. Uma instituição que se acredita insubstituível se comportará de maneira diferente de uma instituição que sabe que o reconhecimento é condicional.

A crise da AFRINIC tornou pensável o que se supunha impensável. The Register relatou que o trabalho de revisão da ICP-2 foi desencadeado porque a política existente não definia o que fazer se um RIR se tornasse disfuncional. Também relatou que a política revisada definiria o ciclo de vida completo de um RIR e incluiria disposições para não reconhecimento. A correspondência da ICANN em 2025, conforme relatado por The Register, levantou a possibilidade de que, se a AFRINIC falhasse em uma revisão de conformidade, outro RIR poderia ser convidado a servir como registro de emergência para a África.

Se esse caminho específico é sábio ou não é outra questão. O fato importante é que o sistema concedeu o ponto conceitual: o invólucro não é metafisicamente permanente.

A substituição também deve ser limitada por seu propósito. O objetivo não é punir um registro, resolver um conflito político, redistribuir ativos, impor preferências políticas externas ou criar um precedente para gestão centralizada de regiões. O objetivo é preservar a coordenação de números únicos quando o registro reconhecido não atende mais às condições mínimas. Esse objetivo estreito deve estar inscrito na norma de reconhecimento. Se a autoridade de substituição puder ser usada para objetivos de governança mais amplos, ela se tornará a ferramenta de centralização que os críticos temem.

A opção de substituição deve ter três formas. A menos intrusiva é a substituição funcional: outro operador qualificado realiza temporariamente serviços específicos, como hospedagem de dados, operações RPKI, suporte DNS reverso ou processamento de tickets sob auditoria. A seguinte é a portabilidade administrativa: membros afetados transferem seu relacionamento de serviço de registro para um registro qualificado ou operador interino enquanto a governança regional é reparada. A mais intrusiva é o não reconhecimento completo e a sucessão: o titular perde o reconhecimento e um sucessor se torna o registro reconhecido para a região.

Estes não são o mesmo remédio e não devem ser confundidos em um só.

O consentimento dos membros deve desempenhar um papel decisivo na sucessão completa. A razão não é uma fé romântica em processos comunitários. É a legitimidade econômica. Um registro sucessor que não é aceito pelas redes que atende terá dificuldade em manter a coordenação voluntária. Mas o consentimento deve ser estruturado. Uma votação ou consulta para a sucessão deve usar um registro de membros verificado, documentos de autoridade transparentes, limites na agregação de procurações, divulgações de conflitos e supervisão independente.

A experiência das eleições contestadas da AFRINIC mostra que "deixar os membros decidirem" não é suficiente a menos que o mecanismo de decisão seja ele próprio confiável.

A sanção terminal deve ser rara, mas não imaginária. Nos setores bancário, de pagamentos, auditoria, seguros e serviços públicos, a supervisão sem autoridade de resolução falha frequentemente porque todos sabem que o supervisor não apertará o gatilho. A instituição com falha aposta na indulgência. As contrapartes permanecem presas. As perdas aumentam. O reconhecimento de registros apresenta um problema semelhante. Se o não reconhecimento é impossível, as normas de reconhecimento se tornarão outra camada de linguagem oficial. Se o não reconhecimento só é possível através de poder discricionário global opaco, assustará os membros e os estados.

Se o não reconhecimento é possível através de regras objetivas, escalonadas e focadas na continuidade, torna-se uma ameaça crível.

O perigo da proteção de cartel

O sistema de RIR tem uma estrutura desconfortável. É um pequeno grupo de instituições regionalmente exclusivas que se coordenam entre si, compartilham um interesse comum em preservar o modelo de RIR e participam na definição dos padrões pelos quais os RIRs são reconhecidos. Em muitos contextos, os economistas perguntariam imediatamente se tal estrutura corre o risco de comportamento de cartel. A cultura da governança da internet evita frequentemente essa palavra porque as instituições são sem fins lucrativos, a retórica é pública e a missão técnica é real. No entanto, os incentivos não desaparecem porque as entidades usam linguagem de gestão.

A proteção de cartel neste contexto não significa necessariamente fixação de preços. Significa proteger a antiguidade, limitar a entrada, restringir a saída, controlar o reconhecimento e tratar os desafios à classe institucional como ameaças à estabilidade. Uma norma de reconhecimento pode facilmente se tornar uma proteção de cartel se tornar praticamente impossível a formação de novos registros, tornar os registros existentes efetivamente insubstituíveis e definir a revisão de falhas através de órgãos dominados pelos registros titulares.

O resultado seria um sistema no qual a linguagem da responsabilização reforça a posição de monopólio que produziu o problema de responsabilização.

O comentário de Lu Heng sobre a revisão da ICP-2 alerta para esse risco em termos fortes: um projeto apresentado como proteção e gestão pode bloquear a entrada, restringir a saída, tornar novas instituições impossíveis e transformar a coordenação em permissão. Este argumento não deve ser reduzido a retórica anti-institucional. Ele identifica um padrão clássico de economia política. Quando um sistema consolidado está em dificuldades, ele frequentemente reage elevando as barreiras à saída e à entrada. Ele chama essas barreiras de segurança. Às vezes, é segurança. Às vezes, é autopreservação.

A linha entre segurança e autopreservação deve ser traçada pela necessidade objetiva. A coordenação de números únicos requer regras comuns. Não requer que cada invólucro jurídico atual permaneça permanente. A continuidade do registro requer transição cuidadosa. Não requer que os membros estejam presos a uma instituição com falha. A interoperabilidade global requer evitar registros conflitantes. Não requer que um clube privado decida todas as futuras questões de reconhecimento sem revisão externa.

Se a ICP-2 não conseguir enunciar quais restrições são tecnicamente necessárias e quais meramente protegem a antiguidade, ela não será economicamente crível.

A AFRINIC torna o risco de cartel visível porque os órgãos externos tinham incentivos concorrentes. Por um lado, tinham razões legítimas para se preocupar com a continuidade dos serviços, a integridade das eleições e o sistema global de numeração. Por outro lado, tinham razões institucionais para evitar um precedente no qual um tribunal, um movimento de membros, um litigante ou uma estrutura sucessora pudesse fundamentalmente reorganizar um RIR. As declarações oficiais devem, portanto, ser lidas como evidências de incentivos.

Quando a NRO diz que a recepção judicial ajuda a restaurar a governança e manter os serviços, isso nos diz que a continuidade é importante. Também nos diz que a classe de RIRs titulares valoriza a restauração do modelo existente. Quando a ICANN diz que está preocupada com a integridade das eleições, isso pode refletir um risco real. Também nos diz que a ICANN está disposta a intervir quando a governança de um RIR ameaçar a ordem de coordenação global como a ICANN a entende.

A proteção de cartel também pode aparecer através do vocabulário. "Comunidade" pode ser usado para fazer uma classe processual estreita parecer uma região inteira. "Estabilidade" pode ser usado para fazer a preservação dos titulares parecer proteção dos usuários. "Ascendente" pode ser usado para validar processos nos quais a participação é desigual, os registros são contestados ou os interesses organizados dominam. "Coordenação global" pode ser usado para suprimir a responsabilidade local. "Reconhecimento" pode ser usado para transformar uma função de manutenção de registros em uma camada de permissão. Essas palavras não são inúteis.

São perigosas quando não são definidas.

Uma ICP-2 crível deve, portanto, incluir salvaguardas anticartel. A revisão de falhas não deve ser controlada apenas pelos RIRs titulares. Os critérios de entrada para operadores sucessores ou interinos devem ser rigorosos, mas alcançáveis. A portabilidade deve impedir que o aprisionamento territorial se torne absoluto. Os padrões de dados devem tornar os livros-razão substituíveis. A assistência de emergência deve ser modular e temporária. As decisões de reconhecimento devem publicar as evidências e o raciocínio. A revisão desencadeada por membros deve impedir que o clube de titulares ignore a falha.

Os limites do credenciador devem impedir a centralização global. Ninguém deve poder converter o medo da fragmentação em um cheque em branco para o poder. A melhor defesa não é a hostilidade à coordenação. É a coordenação leve. Definir os invariantes que devem ser comuns: unicidade, exatidão dos registros, continuidade, segurança, portabilidade de dados essenciais, não duplicação, marcação transparente de litígios e níveis mínimos de serviço. Manter todo o resto de se tornar uma condição de reconhecimento, a menos que haja uma necessidade técnica ou administrativa demonstrável.

Quanto mais espessa a norma de reconhecimento, mais ela convidará à captura. Quanto mais fina e verificável, mais pode disciplinar sem governar.

O perigo da proteção de cartel não é uma razão para abandonar a reforma ICP-2. É a razão pela qual a reforma deve ser estreita, externa, verificável e ancorada nos membros. Um registro com falha é ruim. Um registro com falha protegido por um cartel global de reconhecimento é pior.

O que operadores, tribunais e governos precisam da reforma

Os atores que arcam com o custo da falha do registro precisam de coisas diferentes da ICP-2. A reforma falhará se falar apenas aos iniciados da governança da internet.

Os operadores precisam de previsibilidade. Sua primeira preocupação não é a filosofia institucional. É se podem manter as redes funcionando, adquirir ou alugar endereços, manter a credibilidade do roteamento, atualizar registros, obter DNS reverso, gerenciar contatos de abuso, usar RPKI, satisfazer clientes e evitar uma renumeração catastrófica. Precisam saber que a crise interna de um registro não se tornará repentinamente sua crise de continuidade de negócios.

Precisam de níveis de serviço publicados, registros exportáveis, prazos de transferência, regras de marcação de litígios, contatos de emergência e direitos de portabilidade em condições definidas. Também precisam da garantia de que o poder discricionário do registro não será usado para punir modelos de negócios desfavorecidos por iniciados institucionais, a menos que esses modelos violem regras claras e adotadas.

Os operadores também precisam de sinais de preço. Se um registro está sob revisão formal, o mercado deve saber o que isso significa. É um risco de serviço, risco de governança, risco financeiro, risco de integridade de dados ou disputa política? As transferências ainda estão sendo processadas? Os certificados e o DNS reverso estão estáveis? Os registros de membros estão congelados? A portabilidade está disponível? Uma nuvem vaga sobre o reconhecimento pode ser tão prejudicial quanto uma sanção formal, pois deixa as contrapartes na incerteza.

A ICP-2 deve exigir classificação pública de riscos para que os mercados possam avaliar fatos, não boatos.

Os tribunais precisam de outra coisa: uma distinção clara entre continuidade do registro e privilégio institucional. Os tribunais já estão envolvidos porque os RIRs são entidades jurídicas nacionais, e não soberanos pairando acima da lei. Quando um registro entra em processo de insolvência, recepção judicial, litígios de liminar ou conflitos de registros corporativos, os juízes precisam entender quais funções do registro são operacionalmente críticas e quais reivindicações são meramente institucionais.

Um tribunal deve ser capaz de proteger o livro-razão sem que lhe digam que cada preferência do registro é uma questão de estabilidade global da internet. A ICP-2 pode ajudar definindo as funções mínimas de continuidade, as obrigações de custódia, os protocolos de serviço de emergência e as consequências factuais da perturbação do registro.

Isso não significa que os tribunais devem gerenciar registros. Não devem. Significa que o sistema de registros deve parar de confiar em afirmações místicas quando comparece perante a lei ordinária. Se o livro-razão é crítico, mostre por quê. Se um serviço deve continuar, identifique-o. Se um registro de membro é contestado, preserve as evidências. Se uma eleição é necessária, especifique os documentos de autoridade e as regras de verificação. Os tribunais podem trabalhar com fatos. São menos adequados para julgar o vocabulário sagrado da governança da internet.

Os governos precisam de um terceiro conjunto de garantias. Os estados arcam com os inconvenientes públicos quando a continuidade da numeração falha. Comunicações, serviços de emergência, sistemas financeiros, plataformas de nuvem, redes de telecomunicações e administração pública dependem todos da continuidade da internet. No entanto, a camada de registro upstream é frequentemente uma entidade privada constituída em uma jurisdição e atendendo muitas outras. A AFRINIC é constituída em Maurício e atende uma vasta região. APNIC, RIPE NCC, ARIN e LACNIC também operam através de formas jurídicas específicas enquanto atendem vastas regiões.

Este arranjo pode ser eficiente, mas cria uma inversão de soberania se os estados arcam com os inconvenientes enquanto os órgãos de registro privados detêm alavancagem prática sem responsabilidade suficiente.

Os governos precisam, portanto, que a ICP-2 esclareça que o reconhecimento não é uma propriedade política de uma região. Uma região de serviço de registro é uma pegada administrativa, e não um mandato soberano. O reconhecimento não deve dar a um registro o direito de reivindicar imunidade da lei ordinária ou tratar a continuidade da numeração de uma região inteira como sua propriedade institucional. Ao mesmo tempo, os governos não devem responder nacionalizando ou politizando a administração de recursos de numeração. O interesse público é continuidade, neutralidade e interoperabilidade, e não a captura pelo estado.

A reforma deve dar aos governos a garantia de que existe um caminho de falha não político. Se um registro falha, deve haver mecanismos predefinidos para manter os serviços, proteger dados, validar a autoridade dos membros, comunicar com reguladores nacionais se necessário e evitar que uma crise de registro se torne um concurso geopolítico. Se tal caminho não existir, os governos acabarão improvisando o seu próprio. Isso seria pior para a coordenação global do que um regime de falha ICP-2 estreito e crível.

Os membros e detentores de recursos precisam de voz, mas a voz deve ser verificável. As controvérsias eleitorais da AFRINIC mostram a fragilidade da representação quando procurações, limites de procuração, classificação de empresas e registros de membros se tornam contestados. A ICP-2 não deve presumir que o processo de adesão é legítimo simplesmente porque é nominalmente ascendente. Deve exigir que os registros mantenham registros de autoridade de membros verificados, regras transparentes sobre procurações, sistemas eleitorais verificáveis e canais independentes para relatar irregularidades.

Um sistema ascendente sem adesão verificável não é ascendente. É um mercado para captura processual.

A comunidade técnica precisa de uma última garantia: que a reforma não transformará o reconhecimento do registro em um comando político geral. Engenheiros e operadores de rede aceitam a coordenação porque ela preserva a unicidade e a interoperabilidade. Eles não precisam de uma autoridade global de reconhecimento que possa impor preferências sociais, econômicas ou políticas espessas sob o pretexto de aptidão do registro. A ICP-2 deve, portanto, definir os invariantes técnicos e administrativos mínimos do reconhecimento e deixar os debates políticos ordinários para os processos regionais, escolha dos membros e adoção operacional.

Essa natureza voluntária é essencial. O sistema de numeração da internet funciona porque as redes aceitam os registros como úteis e agem de acordo. Normas de reconhecimento que ignoram a economia do consentimento podem parecer fortes no papel e fracas na realidade. A tarefa da reforma é tornar o consentimento novamente racional.

O acordo estreito que tornaria a ICP-2 crível

O acordo crível é estreito. Os registros titulares só podem manter o reconhecimento exclusivo de suas regiões se esse reconhecimento for condicional, mensurável e revogável. Os órgãos globais só podem ajudar a aplicar as normas de reconhecimento se sua autoridade for limitada, baseada em evidências e verificável. Os membros só podem desencadear a responsabilização através de mecanismos verificados e estruturados. Os operadores de emergência só podem proteger a continuidade não transformando a assistência temporária em controle político. Cada um abre mão de algo. É por isso que o acordo pode funcionar.

Comecemos pela primazia do livro-razão. A ICP-2 deve afirmar, em essência, que a continuidade protege o livro-razão e os usuários, e não os titulares do cargo. Cada recurso deve ser julgado por sua capacidade de preservar registros precisos, serviços de suporte ao roteamento, acesso dos membros, evidências de litígio, transferibilidade e uso operacional. Este princípio não forçaria a substituição. Frequentemente, o registro titular continuará sendo o melhor veículo para a continuidade do livro-razão. Mas impediria que a linguagem da continuidade protegesse automaticamente o titular quando o titular se torna o risco.

O reconhecimento deve então depender de critérios públicos: disponibilidade do serviço, integridade dos dados, viabilidade financeira, capacidade de governança, controles de conflitos, proteção dos direitos dos membros, eleições verificadas, conformidade com a custódia, postura de segurança, administração de transferências e desempenho de remediação. Os critérios devem ser suficientemente precisos para serem testados e suficientemente estreitos para evitar a construção de um império político. Devem medir se o registro pode cumprir a função reconhecida, e não se estranhos gostam de sua política.

O acionamento deve vir de baixo tanto quanto de cima. Membros e detentores de recursos afetados devem poder impor uma revisão preliminar quando limiares definidos forem atingidos. A revisão externa deve então ser conduzida por auditores independentes e examinadores técnicos que não correm o risco de herdar a autoridade do registro. A ICANN, a NRO e os outros RIRs podem ter papéis, mas não devem ser os únicos guardiões. O objetivo é prevenir tanto a captura local quanto a centralização global.

O alívio deve estar disponível antes do colapso. Os membros não devem ter que esperar pelo não reconhecimento completo antes de obter ajuda de um registro com falha. Se a não conformidade objetiva persistir ou se certos gatilhos de emergência forem atingidos, a portabilidade administrativa deve se tornar disponível através de mecanismos predefinidos. Isso não significa reivindicações de números conflitantes ou transferências não verificadas. Significa que o relacionamento de serviço pode se mover enquanto a unicidade e os registros de litígio são preservados. A portabilidade é a disciplina de mercado que torna o reconhecimento menos frágil.

Cada registro reconhecido deve manter uma custódia verificável de forma independente dos dados essenciais do registro e metadados operacionais. A custódia deve ser testada, e não apenas prometida. Um exercício de incêndio que não pode restaurar serviços não é um plano de continuidade. A custódia reduz a capacidade do titular de reféns e reduz o medo do credenciador de que a intervenção quebre a internet.

Os recursos devem ser escalonados. Divulgação, auditoria, remediação, assistência, substituição funcional limitada, portabilidade, operação de emergência e não reconhecimento devem ser etapas distintas. Pular etapas deve exigir prova de risco imediato à continuidade. Isso protege os registros de ataques oportunistas enquanto protege os membros de indulgência infinita.

O processo de reconhecimento também deve conter um limite anticartel. Não deve ser autorizado a bloquear todas as novas formas institucionais, congelar todos os territórios de serviço atuais para sempre, ou permitir que registros titulares julguem concorrentes potenciais sem supervisão independente. A entrada deve ser difícil porque a unicidade é importante. Não deve ser impossível porque a antiguidade é confortável. A saída deve ser controlada porque os registros devem permanecer consistentes. Não deve ser proibida porque os registros preferem membros cativos.

Finalmente, a ICP-2 deve recusar a expansão do mandato através do vocabulário. Palavras como gestão, comunidade, estabilidade, reconhecimento, conformidade e coordenação global devem ser vinculadas a significados operacionais específicos. Um registro é um coordenador de registros de recursos de numeração e serviços relacionados. Não é o proprietário político de uma região. Um credenciador é um verificador da aptidão mínima do registro. Não é um governo global para recursos de numeração. Um processo comunitário é um método de desenvolvimento de políticas. Não é uma conversão mágica de participação estreita em consentimento universal.

Se esses termos parecerem modestos, esse é o objetivo. A reforma ICP-2 não deve tentar resolver todos os argumentos sobre mercados IPv4, locação, uso fora da região, filosofia de transferência, desenvolvimento regional ou o futuro de longo prazo da coordenação da internet. Outros trabalhos e outros processos podem debater essas questões. A questão imediata do reconhecimento é mais estreita: como a internet pode identificar, disciplinar e, se necessário, substituir um RIR com falha sem transformar esse poder em uma nova hierarquia irresponsável?

AFRINIC é o teste porque contém todas as tentações. A tentação para os titulares é dizer que a crise prova a necessidade de proteção mais forte do sistema existente. A tentação para os órgãos centrais é dizer que a crise prova a necessidade de intervenção global mais forte. A tentação para os críticos é dizer que a crise prova que o antigo sistema deve ser varrido imediatamente. A resposta econômica é menos satisfatória e mais durável: proteger o livro-razão, disciplinar a instituição, preservar a saída, restringir o credenciador e tornar a substituição possível antes que seja necessária.

O sistema de numeração da internet foi construído sobre uma forma estreita de confiança. As redes não precisavam confiar em um soberano global. Precisavam confiar que os registros eram únicos, que os serviços eram confiáveis, que os processos eram suficientemente justos e que nenhum intermediário único poderia destruir arbitrariamente sua continuidade. A escassez de endereços IPv4 tornou essa confiança mais cara. A AFRINIC mostrou o que acontece quando o preço não é pago antecipadamente.

A reforma ICP-2 só será crível se o reconhecimento se tornar condicional a fatos, em vez de mitologia. Um registro que mantém o livro-razão, serve os membros de forma neutra, aceita auditoria externa e permite saída limitada deve ser protegido. Um registro que não pode fazer essas coisas deve ser disciplinado. Um registro que ainda não pode fazê-las após remediação deve ser substituível.

E os órgãos que aplicam essas normas devem ser eles próprios restringidos pelo mesmo princípio que justifica todo o sistema: a coordenação existe para servir as redes que fazem a internet funcionar, e não para transformar os guardiões de registros em governantes.